[논문 리뷰] Adv-Attribute: Inconspicuous and Transferable Adversarial Attack on Face Recognition

Shuai Jia, Bangjie Yin외 5명|arXiv (Cornell University)|2022. 10. 13.

Adversarial Robustness in Machine Learning인용 수 23

한 줄 요약

Adv-Attribute는 StyleGAN으로 다수의 의미 속성을 편집하여 눈에 띄지 않고 전달 가능한 적대적 얼굴을 생성하며, 목표 얼굴의 특징 차이에 의해 가이드되고 다목적 최적화 및 중요도 인식 속성 선택으로 균형을 맞춥니다.

ABSTRACT

Deep learning models have shown their vulnerability when dealing with adversarial attacks. Existing attacks almost perform on low-level instances, such as pixels and super-pixels, and rarely exploit semantic clues. For face recognition attacks, existing methods typically generate the l_p-norm perturbations on pixels, however, resulting in low attack transferability and high vulnerability to denoising defense models. In this work, instead of performing perturbations on the low-level pixels, we propose to generate attacks through perturbing on the high-level semantics to improve attack transferability. Specifically, a unified flexible framework, Adversarial Attributes (Adv-Attribute), is designed to generate inconspicuous and transferable attacks on face recognition, which crafts the adversarial noise and adds it into different attributes based on the guidance of the difference in face recognition features from the target. Moreover, the importance-aware attribute selection and the multi-objective optimization strategy are introduced to further ensure the balance of stealthiness and attacking strength. Extensive experiments on the FFHQ and CelebA-HQ datasets show that the proposed Adv-Attribute method achieves the state-of-the-art attacking success rates while maintaining better visual effects against recent attack methods.

연구 동기 및 목표

• 픽셀 교란이 아닌 고수준 얼굴 속성을 활용하여 얼굴 인식에 대한 강력하고 전달 가능한 공격을 유도한다.
• Identity와 시각적 품질을 보존하면서 다수의 의미 속성을 교란하기 위한 Adv-Attribute를 제안한다.
• 중요도 인식 속성 선택과 다목적 최적화를 통해 은밀성과 공격 강도 사이의 균형을 달성한다.
• FFHQ와 CelebA-HQ에서 표준 및 적대적으로 학습된 FR 모델에 대해 최첨단 위장 ASR을 입증한다.

제안 방법

• StyleGAN을 사용하여 잠재 공간의 여러 해리된 속성 벡터를 편집해 적대적 얼굴을 생성한다.
• 원천 얼굴과 대상 얼굴 간의 특징 차이를 입력으로 받는 학습된 생성기 G_a를 통해 속성별 적대 노이즈 n_i를 계산한다.
• v_i가 z_i에 가깝고 norm이 작게 유지되도록 은밀한 손실을 부과하되 FR 임베딩 간 코사인 유사도를 기반으로 한 사칭 손실을 유지한다.
• 각 단계에서 적대적 성능의 한계 이득(marginal gain)에 따라 가장 영향력 있는 속성을 선택하도록 중요도 인식 속성 선택을 적용한다.
• 손실의 가중치를 적응적으로 조정하여 은밀성 및 공격 강도를 균형 있게 맞추는 다목적 최적화를 해결하고 Pareto-stationary 해를 근사한다.

실험 결과

연구 질문

• RQ1 고수준 의미 속성 편집이 픽셀 수준 교란보다 얼굴 인식에 더 전달 가능한 적대적 예제를 생성할 수 있는가?
• RQ2 여러 속성을 편집하여 얼굴 인식을 공격할 때 은밀성과 효과를 어떻게 균형 있게 달성할 수 있는가?
• RQ3 적응적 속성 선택과 다목적 최적화가 블랙박스 및 적대적으로 학습된 FR 모델로의 전달성 향상에 기여하는가?
• RQ4 여러 얼굴 속성 편집이 시각적 눈에 띄지 않음과 공격 성공에 미치는 영향은 무엇인가?

주요 결과

• Adv-Attribute는 블랙박스 설정에서 FFHQ 및 CelebA-HQ에서 그래디언트 기반 및 패치 기반 방법보다 더 높은 사칭 ASR을 달성한다.
• 이 방법은 적대적 학습(PGD-AT, TRADES) 등 강건한 FR 모델에 대해서도 여전히 효과적이다.
• 중요도 인식 속성 선택은 다양하고 적응적인 공격 방향을 도출하며 고정 속성 업데이트보다 효과를 향상시킨다.
• 다목적 최적화는 은밀성과 공격 강도 사이에 동적으로 균형을 이루며 이미지 품질을 유지하면서 전달성을 증가시킨다.
• 정성적 및 정량적 결과는 적대적 얼굴이 픽셀 기반 교란이나 패치 기반 공격보다 더 눈에 띄지 않고 시각적으로 자연스럽다는 것을 보여준다.